Desde los orígenes de la humanidad siempre ha existido la necesidad de contabilizar y administrar los recursos disponibles. Se tienen evidencias descubiertas por arqueólogos que comprueban, como en la antigua Grecia realizaban listas que reflejaban con tildes, puntos y círculos la disponibilidad y los movimientos de mercancías, finanzas y alimentos. Siglos después la metodología fue mejorando hasta nuestros días, donde se le conoce con el nombre de auditoría, existiendo diferentes modalidades, pero siempre con el mismo fin. Es el proceso de revisión y evaluación “inspección o verificación”, de una actividad o proceso que se realiza en la empresa.
Para que las empresas sean productivas y competitivas desde el escenario informático, aplicar una auditoria de sistemas de TI se convierte en un factor clave. Esto asimismo permite revisar y evaluar que los recursos informáticos con que cuenta la empresa sean utilizados correctamente.
Importancia de la Auditoría Informática
La auditoría informática reviste vital importancia en el correcto desempeño de los sistemas de información, así como de los niveles de seguridad. También permite realizar inventarios, revisar los mecanismos de control y gestión. En cuanto al hardware, se puede conocer qué tipo de procesador tiene las computadoras, la memoria, service packs, capacidad de almacenamiento, particiones y medios usados.
A medida que la tecnología se integra cada vez más en la estructura de la gestión y las operaciones comerciales, se hace necesario evaluar el uso de esta y las posibles amenazas relacionadas. También abundan las oportunidades para reducir costos y obtener una mayor eficiencia mediante la auditoría de los procesos y sistemas de TI.
Dado que el área de TI juega un papel fundamental para las organizaciones, la realización de auditorías periódicas se ha vuelto necesario como parte de las acciones de seguridad informática. Como ya se revisó, las auditorías de TI evalúan los sistemas de información de una entidad y las medidas de protección con las que se cuentan para crear una estructura sólida de seguridad.
Lea también: IVA 21% Excel
En ocasiones, la auditoría interna es visto como una actividad incómoda que se tiene que realizar para mantener un certificado; pero la realidad es que esta puede ser una oportunidad para revisar con profundidad procesos y procedimientos que, generalmente, por cuestión de tiempo, no se alcanzan a ver en una auditoría externa o en la operación diaria.
Una empresa que realiza una auditoría de seguridad informática está protegiendo su información, su infraestructura y a sus clientes.
Objetivos de una Auditoría de Sistemas Informáticos
Muy a menudo, los objetivos de una auditoría de sistemas informáticos se concentran en corroborar que los controles internos existen y funcionen como se espera para minimizar el riesgo. Los objetivos de auditoría de sistemas también incluyen asegurar el cumplimiento de los requisitos regulatorios y de normativa interna, así como la confidencialidad, integridad y disponibilidad de la información.
Los controles cuando se diseñan, desarrollan e implementan han de ser por lo menos completos, simples, fiables, revisables, adecuados y rentables. Los controles internos utilizados en el entorno informático continúan evolucionando a medida que los sistemas de información se vuelven complejos.
Una de las actividades más importantes del área de sistemas e informática en una organización del siglo XXI, es el control interno informático. Dicha actividad se ejecuta en el control de los sistemas de información y servicios de TI, ya que es la encargada de monitorear su eficiencia y eficacia.
Lea también: Guía IVA reducido
Conocer la situación actual del área de informática y las actividades y los esfuerzos necesarios para lograr los objetivos organizacionales. La información que trata una organización es un recurso crítico que debería ser protegido, ya que es la base de la mayoría de las decisiones que se toman.
Para tener una seguridad razonable sobre si la información es exacta y completa, está disponible cuando se necesita y es confidencial, es necesario implementar controles internos informáticos que ayudan a cumplir con las exigencias legales en materia de derecho informático y asegurar que los sistemas de información y servicios de TI funcionen de acuerdo a lo que se espera de ellos.
La selección correcta de la plataforma informática para cada área es fundamental. El equipo de especialistas del área de sistemas tiene la tarea de realizar un estudio de necesidades, tomando como base las actividades y funciones que se realicen en cada área funcional de la organización.
Ahora existen varias metodologías que permiten realizar una auditoría de sistemas de TI; diferentes autores e instituciones auditoras presentan sus etapas y procedimientos para realizar esta actividad, tomando en consideración que el objetivo de las auditorías de sistemas de TI, es verificar y comprobar el correcto funcionamiento de los recursos informáticos.
Con tantos avances, actualizaciones y nuevas versiones de los sistemas no siempre es fácil encontrar las pequeñas fallas, que, si no se corrigen a tiempo, podrían convertirse en graves problemas. Para poder detectarlas es necesaria una herramienta que nos ayude a realizar una evaluación de nuestros sistemas, es necesaria una auditoría de seguridad informática. La auditoría de seguridad informática es un procedimiento que consiste en realizar un examen exhaustivo de los sistemas informáticos, redes y prácticas de la empresa, para poder evaluar el nivel de seguridad con el que contamos, así como para identificar las vulnerabilidades, encontrar posibles riesgos y comprobar si se están cumpliendo las políticas de seguridad.
Lea también: ¿Cómo localizar tus XML del SAT?
Pasos para Realizar una Auditoría de Software
Antes de iniciar cualquier proceso, se realiza un análisis general de la organización objeto de la auditoría. Una auditoría de sistemas puede definirse como cualquier inspección que abarque la revisión y evaluación de sistemas de información, y sus recursos relacionados, con el fin de determinar si se cuenta controles internos que provean una certeza razonable de que los objetivos de negocio, operacionales y de control serán alcanzados, al mismo tiempo que los riesgos serán evitados, detectados y/o corregidos de forma oportuna.
1. Planificación de la Auditoría
La planificación de la auditoría de TI implica dos pasos principales: el primer paso de la auditoría de TI es realizar un entendimiento del negocio y del entorno general bajo revisión, recopilando información; el segundo consiste en realizar o reutilizar los análisis de riesgos existentes en la organización para cerciorarse de que se mantenga el rumbo hacia los objetivos.
Cada vez son más las organizaciones que se están moviendo hacia un enfoque de auditoría basado en riesgos, lo cual ayuda a un(a) auditor(a) de sistemas informáticos a planificar y priorizar la revisión sobre las áreas o temas que representan mayor riesgo para la organización.
Al realizar el entendimiento del negocio, el equipo de auditoría de TI debería al menos, identificar los siguientes elementos:
- Misión, objetivos y principales procesos del negocio.
- Cambios en el entorno de negocio y la industria.
- Resultados de las auditorías anteriores.
- Leyes y regulaciones aplicables.
- Marco de control interno (políticas, procedimientos, estructuras).
- Evaluaciones de riesgos inherentes.
- Tipo de sistemas de información y tecnología que soportan los procesos de negocio.
Al desarrollar una estrategia de auditoría de sistemas se debe considerar el tipo de pruebas a realizar (pruebas de cumplimiento o sustantivas) y las técnicas de recopilación de evidencia a utilizar durante el proceso de auditoría.
Pruebas de Cumplimiento vs. Pruebas Sustantivas
Las pruebas de cumplimiento determinan si los controles están siendo aplicados conforme a las políticas y los procedimientos de la organización. Por otro lado, las pruebas sustantivas consisten en la recopilación de evidencia para evaluar la integridad de las transacciones, datos individuales y otra información.
Las pruebas de cumplimiento se pueden ejemplificar cuando una organización tiene un procedimiento de control que establece que todos los cambios de la aplicación deben pasar por la autorización de un control de cambios. Como auditor (a) de sistemas informáticos, se puede tomar el control de versiones del aplicativo en ejecución y luego verificar que la documentación de control de cambios relacionada cuenta con las autorizaciones correspondientes.
Para pruebas sustantivas, un(a) auditor(a) de sistemas informáticos haría un inventario físico y lo compararía con el inventario registrado y reportado por el área de TI, con el objetivo de validar la integridad que la información registrada, es decir revisa que los datos de los activos registrados estén completos y libres de errores.
2. Recopilación de Evidencia
Cuando se trata de obtener evidencia que permita auditar y presentar un informe, se considera:
- Revisar la documentación disponible (políticas, procedimientos, estándares y estructuras).
- Entrevistar al personal apropiado.
- Observar los procesos y el desempeño de los empleados, mediante recorridos.
- Realizar pruebas técnicas a los controles y sus resultados
En el proceso de recopilación de evidencias, la observación y documentación de lo que hace realmente un individuo frente a lo que se supone que debe hacer puede proporcionar pruebas valiosas al equipo auditor. Además, realizar una inspección física o virtual puede brindar información importante sobre cómo se realiza una función en particular e inclusive observar el grado de concientización del personal en materia de seguridad de la información.
3. Análisis y Evaluación
Después de reunir toda la evidencia, el auditor o auditora de sistemas informáticos la revisará para determinar si las operaciones auditadas están bien controladas y son efectivas. En este punto es donde el equipo auditor aporta su visión objetiva y experiencia para identificar oportunidades de mejora. Por ejemplo, se puede encontrar una debilidad en un área que se compense con un control muy fuerte en otra área adyacente. Es su responsabilidad como auditor de sistemas informáticos informar ambas situaciones en el informe de auditoría.
4. Informe y Recomendaciones
La etapa final de la auditoría es entregar un informe detallado sobre el proceso realizado, observaciones, recomendaciones y un plan de acción.
Uno de los objetivos principales de realizar una auditoría interna es encontrar oportunidades para mejorar el sistema. Por esto, este último paso es esencial. El seguimiento de las mejoras asegurará el valor de la auditoría interna completa.
Metodología para la Auditoría de Sistemas de TI
Con el propósito de aplicar correctamente esta metodología para realizar la auditoría de sistemas de TI, la cual puede ser aplicable para cualquier campo del área de sistemas e informática, a continuación se presentan todas las fases y pasos que se deben seguir para determinar la correcta funcionalidad de los recursos informáticos.
Tabla 1.
- Planificación.
- Ejecución.
- Comunicación de resultados.
- Seguimiento.
Tabla 2.
- Definir el alcance y los objetivos de la auditoría. Este punto es de suma importancia ya que aquí se determinan todas las actividades que se realizarán para llevar a cabo la auditoría de sistemas.
- Asignación de responsabilidades. El auditor líder es total responsable del cumplimiento de todas las actividades planeadas para el desarrollo de la auditoría.
- Desarrollar el plan de trabajo.
- Definir los criterios de evaluación.
- Asignar las actividades y los tiempos para el equipo de auditores es una tarea de suma importancia para el auditor líder y también para la asignación de presupuestos. Este punto se basa en el cumplimiento del plan de trabajo establecido al inicio de la auditoría.
- Determinar los recursos necesarios.
- Aprobar el plan de auditoría.
Tabla 3.
- Realizar las pruebas y los análisis. De acuerdo con el programa de auditoría, cada auditor tiene que realizar las actividades que le corresponden conforme fueron diseñadas, de acuerdo a la cronología asignada a cada una, y a los tiempos y recursos que se deben utilizar.
- Documentar los hallazgos.
- Comunicar las desviaciones. Una vez que el auditor determinó las desviaciones encontradas durante la evaluación, debe elaborar un documento que contenga todas las desviaciones detectadas, o lo puede elaborar con cada una de las desviaciones por separado, de acuerdo a las necesidades de la empresa. Una vez hecho esto, es obligación del auditor comentarlas con las personas involucradas directamente en las desviaciones, a fin de encontrar de manera conjunta las causas que las originaron y a partir de ese intercambio de opiniones determinar las posibles soluciones para cada causa.
Tabla 4.
- Elaborar el dictamen de la auditoría. La actividad previa, o más bien paralela, a la detección de las desviaciones, es el análisis de los papeles de trabajo y la elaboración en borrador de las llamadas situaciones detectadas; el propósito es que el auditor elabore su borrador y comente las desviaciones con los auditados.
- Presentación formal del dictamen. El último paso de esta metodología que hemos estudiado es presentarle formalmente el dictamen de la auditoría al más alto directivo de la empresa, con el propósito de informarle sobre los resultados. Esta presentación se debe hacer con toda la formalidad del caso, con la elaboración correcta y profesional del dictamen de la auditoría y en medio de una reunión directiva.
Siguiendo esta metodología se pueden alcanzar los objetivos propuestos en este artículo. A través de ésta se asegura y comprueba que los sistemas de información y los servicios de TI funcionen correctamente y, sobre todo, cumplan los objetivos para los cuales fueron implementados.